Laborator 15 — Amenințări de securitate și răspuns la incidente

1. În VirtualBox, creează un snapshot al VM-ului WIN10-01 cu numele BeforeLab15. Pornește VM-ul și autentifică-te în Windows 10 cu utilizatorul local vboxuser.
2. În File Explorer creează C:\Lab15, apoi subfolderele Scanare, Date, Copie și Restaurat. În View → Show activează File name extensions (în Windows 10: View → File name extensions).
3. În Notepad scrie două linii: „Inventar laborator” și „10 calculatoare; 2 imprimante”. Salvează ca C:\Lab15\Date\inventar.txt. Copiază fișierul în C:\Lab15\Copie și în C:\Lab15\Scanare.
4. Deschide Windows Security → Virus & threat protection, apoi, în secțiunea Who's protecting me?, apasă Manage providers. Identifică furnizorul antivirus activ și notează dacă este Microsoft Defender Antivirus sau alt produs.

Analizează urmele fictive de mai jos ca un tehnician. Pentru fiecare dosar scrie categoria probabilă si indicele decisiv ș.

Scop: Identificarea amenințărilor detectate și a fișierelor afectate.

1. Deschide Windows Security → Virus & threat protection → Protection history (Threat history în versiunile mai vechi).
2. Verifică dacă există amenințări detectate anterior.
3. Dacă există o detecție, examinează numele amenințării, fișierul afectat, locația acestuia și acțiunea efectuată.
4. Dacă lista este goală, consemnează acest rezultat. Nu este necesară producerea unei detecții.

Scop: Identificarea proceselor cu activitate neobișnuită.

1. Apasă Ctrl + Shift + Esc → Processes.
2. Sortează procesele după consumul de CPU, Memory și Disk.
3. Identifică procesul cu cel mai mare consum de CPU.
4. Click dreapta pe proces → Open file location.
5. Examinează Properties → Details și, dacă există, Digital Signatures.
6. Verifică numele editorului, locația executabilului și validitatea semnăturii.
Notă: Cum verificăm siguranța unui fișier prin Digital Signatures?

Properties → Digital Signatures permite verificarea semnatarului și a integrității fișierului. Următoarele indicii pot ridica suspiciuni:

• Lipsa semnăturii – originea fișierului este mai greu de confirmat.
• Semnătură invalidă – fișierul poate fi modificat sau semnătura nu poate fi verificată.
• Semnatar necunoscut – identitatea editorului nu poate fi confirmată.
• Semnatar nepotrivit – de exemplu, WindowsUpdate.exe nu este semnat de Microsoft.
• Certificat revocat sau neîncredere – autenticitatea semnăturii nu poate fi confirmată.

Important: Lipsa semnăturii nu demonstrează că fișierul este malware, iar o semnătură validă nu garantează că este sigur. Fișierele suspecte trebuie verificate suplimentar cu Microsoft Defender.

Nu opri procese doar pentru că utilizează multe resurse. Dacă locația unui proces de sistem nu este disponibilă, consemnează limitarea și examinează o aplicație deschisă de tine.

Scop: Identificarea proceselor care comunică prin rețea.

1. Deschide browserul și accesează un site cunoscut.
2. Apasă Win + R → resmon → Network.
3. În Processes with Network Activity, identifică procesul browserului și notează PID-ul și valorile Send / Receive.
4. În TCP Connections, caută conexiunile aceluiași proces și examinează Remote Address și Remote Port.
5. Închide pagina web și observă eventualele modificări ale traficului.
Notă: Cum investigăm activitatea de rețea a proceselor Windows?

resmon deschide Resource Monitor, care permite identificarea proceselor ce comunică prin rețea. Ne interesează două întrebări:

• Processes with Network Activity – care programe transmit sau primesc date?
• TCP Connections – cu ce adrese IP comunică aceste programe?

1. Processes with Network Activity

Afișează procesele care au activitate de rețea.

Coloană	Ce verificăm?
Image	Numele procesului – este cunoscut sau suspect?
PID	Identificatorul procesului, util pentru identificarea lui în Task Manager.
Send (B/sec)	Date transmise – există trafic neobișnuit de mare?
Receive (B/sec)	Date primite – există descărcări neașteptate?
Total (B/sec)	Traficul total – există activitate intensă, fără explicație?

Exemplu: Un proces necunoscut, update_service.exe, transmite continuu date, deși utilizatorul nu execută nicio operație. Activitatea necesită investigație, dar nu demonstrează infectarea.

2. TCP Connections

Afișează conexiunile TCP și adresele cu care comunică procesele.

Coloană	Ce verificăm?
Image / PID	Procesul care deține conexiunea – este legitim?
Local Address	Adresa IP locală de pe care comunică sistemul.
Remote Address	Adresa IP a destinației – este cunoscută sau așteptată?
Remote Port	Portul destinației – corespunde serviciului utilizat?
Latency	Întârzierea conexiunii, când este disponibilă; nu indică direct malware.

Exemplu: Este normal ca chrome.exe să comunice cu adrese IP externe în timpul navigării. În schimb, conexiunile repetate ale unui proces necunoscut către destinații externe necesită investigație.

Atenție: Porturile 80 și 443 sunt utilizate frecvent pentru trafic web legitim, dar pot fi folosite și de malware. O adresă IP necunoscută sau un port neobișnuit nu demonstrează singure existența unei amenințări.

3. De ce verificăm ambele secțiuni?

• Processes with Network Activity arată cine și cât comunică.
• TCP Connections arată cu cine comunică prin TCP.

Folosind PID-ul, putem identifica un proces cu trafic intens și apoi examina conexiunile sale TCP. Pentru alte tipuri de trafic, inclusiv UDP, putem consulta și secțiunea Network Activity.

Concluzie: Malware-ul poate utiliza rețeaua pentru transmiterea datelor sau primirea instrucțiunilor. Resource Monitor ajută la identificarea activităților suspecte, dar nu confirmă singur existența malware-ului.

Într-o VM fără acces la Internet, exercițiul poate fi realizat cu trafic local între două mașini din laborator.

Scop: Verificarea aplicațiilor care pornesc odată cu Windows.

1. Deschide Task Manager → Startup sau Startup apps.
2. Identifică două aplicații configurate pentru pornire automată.
3. Notează numele, editorul și starea Enabled / Disabled.
4. Dacă există o aplicație demonstrativă neesențială, dezactiveaz-o temporar.
5. Verifică modificarea stării, apoi revino la configurația inițială.

Scop: Investigarea sarcinilor programate și a evenimentelor Windows, instrumente utile inclusiv în analiza bombelor logice.

1. Apasă Win + R → taskschd.msc.
2. În Task Scheduler Library, examinează Name, Triggers, Actions și Last Run Time, în listă sau în proprietățile sarcinii, unde sunt disponibile.
3. Creează o sarcină demonstrativă numită LAB15-Test, care să pornească Notepad la o oră apropiată, cu utilizatorul autentificat.
4. Rulează sarcina manual prin Run și confirmă deschiderea Notepad.
Cum creezi sarcina LAB15-Test în Task Scheduler?

1. În dreapta, selectează Create Task….
2. În fila General:
   • Name: LAB15-Test.
   • Selectează Run only when user is logged on, pentru ca Notepad să fie vizibil în sesiunea utilizatorului autentificat.
3. În fila Triggers, apasă New…:
   • Begin the task: On a schedule.
   • Selectează One time.
   • La Start, alege data de astăzi și o oră cu 2–3 minute mai târziu decât ora curentă.
   • Lasă Enabled bifat și apasă OK.
4. În fila Actions, apasă New…:
   • Action: Start a program.
   • Program/script: C:\Windows\System32\notepad.exe.
   • Lasă celelalte câmpuri goale și apasă OK.
5. În fila Conditions, dacă lucrezi pe laptop, debifează Start the task only if the computer is on AC power, pentru a permite testul și pe baterie.
6. Apasă OK pentru salvare.

Verificare: în Task Scheduler Library, selectează LAB15-Test → click dreapta → Run. Notepad trebuie să se deschidă. Închide-l și așteaptă ora programată, păstrând utilizatorul autentificat și calculatorul pornit, fără a intra în modul Sleep.

5. Apasă Win + R → eventvwr.msc.
6. În Event Viewer, examinează Windows Logs → Application, apoi Applications and Services Logs → Microsoft → Windows → TaskScheduler → Operational. Caută evenimente asociate sarcinii LAB15-Test și verifică informațiile din fila General.
   Ce informații găsești în aceste jurnale?

   • Application — informații, avertismente și erori ale aplicațiilor. Simpla deschidere a Notepad nu apare obligatoriu aici.
   • TaskScheduler → Operational — evenimente despre executarea sarcinilor programate. Caută numele LAB15-Test și ora la care ai executat sarcina.
   Ce faci dacă istoricul Task Scheduler nu este activ?

   1. Deschide Task Scheduler → panoul Actions → Enable All Tasks History. Dacă apare Disable All Tasks History, istoricul este deja activ.
   2. Rulează din nou LAB15-Test prin Run.
   3. Revino în jurnalul TaskScheduler → Operational din Event Viewer și apasă F5.

   Activarea istoricului permite înregistrarea evenimentelor următoare; nu recuperează evenimentele neînregistrate anterior.

7. Caută evenimente asociate execuției sarcinii demonstrative, dacă sunt înregistrate.
8. Păstrează sarcina pentru dezactivarea și ștergerea de la punctul 12; ștergerea se efectuează la finalul acelui exercițiu.

O bombă logică nu este neapărat o sarcină din Task Scheduler: condiția de declanșare poate exista și în codul unei aplicații.

Scop: Identificarea modificărilor specifice adware-ului și browser hijacker-ului.

1. Deschide Chrome, Edge sau Firefox.
2. Verifică pagina de start și identifică motorul de căutare folosit automat când cauți din bara de adrese (Google, Bing etc.). Notează dacă observi modificări pe care nu le-ai făcut tu.
3. Deschide pagina de extensii: Chrome — chrome://extensions; Edge — edge://extensions; Firefox — about:addons.
4. Identifică extensiile instalate și permisiunile afișate, unde sunt disponibile.
5. Notează dacă observi extensii necunoscute sau setări neașteptate, fără să presupui automat că sunt malițioase.

Scop: Exersarea scanării antivirus și înțelegerea acțiunilor Quarantine / Remove.

1. Deschide Windows Security → Virus & threat protection.
2. Execută Quick scan.
3. Accesează Scan options → Custom scan și selectează folderul LAB15-Fisiere.
4. Verifică rezultatele scanării în Virus & threat protection și eventualele detecții în Protection history.
5. Examinează opțiunile Quarantine / Remove, dacă există amenințări detectate.

Dacă nu există detecții, nu trebuie să apară opțiuni de eliminare.

Scop: Exersarea eliminării programelor nedorite.

1. Apasă Win + R → appwiz.cpl.
2. Examinează lista aplicațiilor instalate.
3. Selectează o aplicație demonstrativă neesențială, pregătită pentru laborator (de exemplu, o aplicație simplă de test).
4. Verifică numele, editorul și data instalării.
5. Dezinstalează aplicația prin Uninstall.
6. Verifică dacă nu mai apare în lista programelor instalate.

Scop: Exersarea dezactivării unui mecanism de persistență.

1. Deschide Task Manager → Startup.
2. Identifică o aplicație demonstrativă, neesențială.
3. Notează starea acesteia.
4. Selectează Disable.
5. Verifică dacă starea devine Disabled.
6. Reactivează aplicația dacă era activată inițial și trebuie păstrată.
7. În Task Scheduler, utilizează sarcina LAB15-Test creată la punctul 7: Disable, verificarea stării și apoi Delete.

Scop: Exersarea remedierii modificărilor cauzate de adware sau browser hijacker.

1. Deschide pagina extensiilor din browser.
2. Instalează doar dacă este necesar o extensie demonstrativă sigură, aprobată de profesor.
3. Dezactivează extensia și verifică schimbarea stării.
4. Elimină extensia demonstrativă prin Remove.
5. Verifică motorul de căutare și pagina de start.
6. Dacă au fost modificate intenționat în laborator, restabilește setările inițiale.
7. Apasă Ctrl + Shift + Delete și examinează opțiunile pentru ștergerea cache-ului și cookie-urilor.

Ștergerea cookie-urilor poate deconecta utilizatorul din conturi. Resetarea completă a browserului nu este necesară pentru acest exercițiu.

Scop: Diferențierea metodelor utilizate când malware-ul nu poate fi eliminat în Windows normal.

1. Deschide Settings → System → Recovery (în Windows 10: Settings → Update & Security → Recovery).
2. Identifică opțiunea Advanced startup → Restart now.
3. Într-o VM cu snapshot de siguranță, repornește și accesează Troubleshoot → Advanced options → Startup Settings → Restart → F4.
4. Observă diferențele dintre Windows normal și Safe Mode, inclusiv serviciile și opțiunile disponibile.
5. Repornește în Windows normal.
6. Deschide Windows Security → Virus & threat protection → Scan options și identifică Microsoft Defender Offline scan.
   Ce este Microsoft Defender Offline scan?

   Microsoft Defender Offline scan verifică sistemul pentru malware din afara sesiunii obișnuite de Windows. Calculatorul repornește într-un mediu separat de recuperare, unde amenințările care se ascund sau împiedică eliminarea lor în Windows pot fi mai ușor detectate.

   • Când este utilă: când suspectezi malware persistent sau când amenințările reapar după eliminare.
   • Înainte de pornire: salvează documentele și închide aplicațiile, deoarece calculatorul va reporni.
   • Unde o găsești: Windows Security → Virus & threat protection → Scan options → Microsoft Defender Offline scan → Scan now.
   • După scanare: calculatorul revine în Windows. Verifică eventualele detecții și acțiuni în Protection history.

   Diferența față de Safe Mode: Safe Mode pornește Windows cu un set limitat de drivere și servicii, dar nu execută automat o scanare antivirus. Defender Offline efectuează o scanare într-un mediu separat. Pornește această scanare din Windows normal.

Executarea efectivă a scanării offline este opțională, deoarece repornește calculatorul. Salvează lucrul înainte și nu o executa în Safe Mode.

Scop: Exersarea recuperării fișierelor afectate de malware.

1. Utilizează folderul demonstrativ LAB15-Fisiere și copia sa de rezervă.
2. Modifică sau șterge intenționat unul dintre documentele originale.
3. Restaurează documentul din copia de rezervă.
4. Compară versiunea restaurată cu cea din backup.
5. Dacă File History sau OneDrive Version history au fost configurate, explorează și restaurarea unei versiuni anterioare.

Această sarcină se leagă în special de ransomware, dar este utilă și pentru fișiere deteriorate în urma altor infecții.

Scop: Verificarea rezultatelor scanării și a stării antivirusului.

1. Deschide Windows Security → Virus & threat protection.
2. Execută Full scan.
3. Accesează Protection history.
4. Verifică dacă există amenințări active sau acțiuni necesare.
5. Examinează starea Real-time protection.

Scanarea completă poate continua în paralel cu următoarele verificări. Consemnează rezultatul final după terminare; nu considera o scanare în curs drept verificare finalizată.

Scop: Confirmarea că aplicațiile nedorite nu mai rulează și nu mai comunică prin rețea.

1. Deschide Task Manager → Processes.
2. Caută aplicația demonstrativă dezinstalată la punctul 11.
3. Verifică în Startup dacă mai există intrări asociate acesteia.
4. Deschide resmon → Network.
5. Verifică dacă există procese sau conexiuni asociate aplicației eliminate.
6. Compară rezultatele cu observațiile efectuate anterior.

Scop: Confirmarea eliminării mecanismelor de execuție automată.

1. Deschide taskschd.msc.
2. Caută sarcina demonstrativă LAB15-Test.
3. Confirmă că sarcina a fost dezactivată sau eliminată, conform operației executate.
4. În Event Viewer, verifică istoricul disponibil al execuțiilor.
5. Explică de ce eliminarea unui fișier executabil nu este întotdeauna suficientă dacă persistă mecanisme de lansare automată.

Scop: Confirmarea restabilirii setărilor browserului.

1. Repornește browserul.
2. Verifică pagina de start și motorul de căutare.
3. Deschide lista extensiilor instalate.
4. Confirmă că extensia demonstrativă eliminată nu mai apare.
5. Verifică dacă nu mai apar modificările nedorite simulate.